Gobernanza de IA para startups: un plan ligero que no frena el producto
Gobernanza de IA para startups bajo la Ley de IA de la UE: clasificar por uso, proveedor vs responsable, apoyos a pymes y un plan ligero.
Para la mayoría de las startups, la Ley de IA de la UE pesa menos de lo que el ruido sugiere. La regulación no clasifica a las empresas; clasifica los usos. Si su producto despliega IA para tareas ordinarias — recomendación, automatización, asistencia, análisis — casi siempre es de riesgo mínimo y no acarrea obligaciones obligatorias. El trabajo de gobernanza no es montar un programa de cumplimiento de empresa cotizada: es saber qué rol tiene su empresa, qué pocas cosas ya están en vigor, qué apoyos existen para las pymes y armar un plan proporcionado. Este artículo es ese plan.
Clasificar por uso, no por empresa
Empecemos por el error más caro que cometen los fundadores: tratar «usamos IA» como si por sí solo activara la regulación.
La Ley de IA de la UE, en virtud del Reglamento (UE) 2024/1689, clasifica los sistemas en cuatro niveles según lo que el sistema hace: prácticas prohibidas (Artículo 5), alto riesgo (Artículo 6 y Anexo III), riesgo limitado con deberes de transparencia (Artículo 50) y riesgo mínimo (todo lo demás, sin obligaciones obligatorias). Un modelo de lenguaje general no es «de alto riesgo» en sí; lo que se clasifica es el sistema que usted construye sobre él, según su uso previsto.
La mayoría de los productos de las startups SaaS — un asistente que resume documentos, un motor de recomendación, una herramienta de automatización de flujos, un analizador de datos — son de riesgo mínimo. Solo entran en alto riesgo si su uso cae en el Anexo III: cribado de candidatos, evaluación de solvencia de personas físicas, componentes de seguridad de infraestructura crítica, decisiones educativas, y similares. La pregunta de gobernanza, repetida para cada función del producto, es sencilla: ¿qué hace este sistema, y ese uso cae en una lista concreta? Casi siempre la respuesta es «no» — y eso es una respuesta documentable, no una suposición.
Proveedor o responsable del despliegue: el rol lo determina todo
Antes de hablar de obligaciones, hay que fijar el rol, porque cambia por completo qué le corresponde.
Proveedor (Artículo 16): desarrolla un sistema de IA, o lo modifica sustancialmente, y lo introduce en el mercado bajo su propio nombre. Si su startup construye y vende una función de IA, es proveedor de ese sistema. Para los sistemas de alto riesgo, el proveedor soporta el grueso de las obligaciones (gestión de riesgos, documentación técnica, evaluación de la conformidad).
Responsable del despliegue (Artículo 26): usa un sistema de IA de un tercero en su actividad. Si su startup usa la API de un proveedor de modelos para una función interna o para su producto sin modificar sustancialmente el sistema, es responsable del despliegue. Las obligaciones del responsable son más ligeras: usar el sistema según las instrucciones, asignar supervisión humana competente y, en casos de alto riesgo, vigilar y notificar.
La frontera la marca el Artículo 25: un responsable del despliegue puede «cambiar de rol» y convertirse en proveedor si pone el sistema en el mercado bajo su nombre, lo modifica de fondo o lo usa para un fin distinto del previsto. Para un fundador que se pregunta «¿soy proveedor si hago fine-tuning de un modelo?», la respuesta práctica depende de cuán sustancial sea la modificación y de si la presenta como producto propio. Audítelo pronto: es la decisión de gobernanza con más consecuencias.
Lo que YA está en vigor (y aplica a toda IA)
Aunque su producto sea de riesgo mínimo, dos obligaciones se aplican hoy a toda IA, sea cual sea su nivel. No espere a 2027.
Artículo 5 — prácticas prohibidas, en vigor desde el 2 de febrero de 2025. Ningún sistema de IA puede usar técnicas subliminales o manipuladoras perjudiciales (5.1.a y b), hacer scoring social (5.1.c), inferir emociones en el trabajo o la educación (5.1.f) ni categorizar biométricamente por categorías sensibles (5.1.g), entre otras. Una startup debe confirmar que su producto no cruza ninguna de estas líneas — es rápido, pero no opcional. El incumplimiento se sanciona en el tramo superior: 35 000 000 € o el 7 % del volumen de negocios anual mundial (Artículo 99, apartado 3).
Artículo 4 — alfabetización en IA, en vigor desde el 2 de febrero de 2025. Los proveedores y responsables del despliegue deben garantizar un nivel suficiente de competencia en IA entre su personal que opera o usa estos sistemas. Para una startup esto es proporcionado: una formación breve y documentada al equipo que toca la IA cumple el deber. No hace falta un programa formal de empresa grande.
Estas dos — Artículo 5 y Artículo 4 — son la base que toda startup debe cubrir ahora. El alto riesgo del Anexo III, en cambio, no aplica hasta el 2 de diciembre de 2027 (componentes de producto del Anexo I: 2 de agosto de 2028), fechas fijadas por el Ómnibus Digital, adoptado en junio de 2026 (Parlamento Europeo, 16 de junio; Consejo, 29 de junio).
Apoyos pensados para pymes y startups
La regulación incluye varios mecanismos diseñados expresamente para no aplastar a las empresas pequeñas. Conviene conocerlos, porque cambian el coste real del cumplimiento.
Espacios controlados de pruebas (Artículo 57 y siguientes). Cada Estado miembro debe establecer un espacio controlado de pruebas (sandbox) regulatorio. El Artículo 58 obliga a dar a las pymes y las startups acceso prioritario y gratuito a estos entornos, donde se puede desarrollar y probar IA innovadora bajo la supervisión de la autoridad antes de su comercialización. España fue pionera con su sandbox nacional.
Documentación técnica simplificada (Artículo 11, apartado 3). Para los proveedores que son pymes, el reglamento prevé un formulario simplificado de documentación técnica. La Comisión debe facilitar un modelo simplificado que reduce la carga documental del Anexo IV para las empresas pequeñas que sí tienen un sistema de alto riesgo.
Tope de multas para pymes (Artículo 99, apartado 6). Cuando se sanciona a una pyme o una empresa emergente, la multa es el menor entre el porcentaje del volumen de negocios y la cifra fija — no el mayor, como ocurre con las grandes empresas. Es una garantía concreta que reduce la exposición teórica de las cifras de titular.
Tasas proporcionadas (Artículo 62). Las tasas de evaluación de la conformidad para las pymes deben fijarse de forma proporcionada a su tamaño y a su situación de mercado.
Un plan de gobernanza ligero, en cinco pasos
No necesita un programa de empresa cotizada. Necesita esto:
- Inventarie sus sistemas de IA. Una lista de cada función de IA en su producto y operaciones, con su uso previsto. Sin inventario, no hay clasificación.
- Clasifique cada uno por uso. ¿Prohibido (Art. 5)? ¿Alto riesgo (Anexo III)? ¿Transparencia (Art. 50)? ¿Mínimo? Documente la justificación — especialmente las exenciones del Artículo 6, apartado 3.
- Fije su rol en cada sistema. Proveedor (Art. 16) o responsable del despliegue (Art. 26), y vigile el cambio de rol del Artículo 25.
- Cubra lo que ya está en vigor. Confirme que nada cruza el Artículo 5; documente una formación breve de alfabetización en IA (Art. 4) para el equipo.
- Trate la transparencia y, si aplica, el alto riesgo. Para chatbots y contenido sintético, las divulgaciones del Artículo 50. Para cualquier sistema de alto riesgo, planifique contra el 2 de diciembre de 2027 y use los apoyos a pymes.
Eso es gobernanza proporcionada. Se revisa cuando lanza una función nueva o cambia el uso de una existente — no es un proyecto único, sino un hábito ligero.
Tabla: el rol y lo que le toca
| Escenario de la startup | Rol probable | Obligación principal |
|---|---|---|
| Usa la API de un modelo para una función interna | Responsable del despliegue (Art. 26) | Uso conforme + alfabetización (Art. 4) |
| Construye y vende una función de IA propia | Proveedor (Art. 16) | Según el nivel de riesgo del uso |
| Hace fine-tuning sustancial y lo vende como propio | Proveedor (Art. 25 «cambio de rol») | Obligaciones del proveedor |
| Despliega un chatbot de cara al usuario | Responsable del despliegue | Divulgar interacción con IA (Art. 50.1) |
| Producto de cribado de candidatos o solvencia | Proveedor o responsable, alto riesgo | Conjunto del Anexo III — 2 dic 2027 |
Un ejemplo concreto
Tomemos Núcleo Labs S.L., una startup SaaS de Barcelona con 18 empleados y alrededor de 1,2 M€ de facturación. Su producto usa la API de un proveedor de modelos para resumir documentos de clientes y tiene un chatbot de soporte; internamente, el equipo de RR. HH. está probando una herramienta de cribado de currículos para sus propias contrataciones.
El recorrido de gobernanza es ligero pero no trivial. El resumen de documentos es de riesgo mínimo y Núcleo es responsable del despliegue (usa la API sin modificarla de fondo) — sin obligaciones más allá del Artículo 4 y de confirmar el Artículo 5. El chatbot activa el Artículo 50, apartado 1: un aviso de interacción con IA. La herramienta de cribado de currículos es la que importa: es un uso del Anexo III, punto 4 (empleo), y por tanto de alto riesgo — aunque Núcleo solo la use internamente, es responsable del despliegue de un sistema de alto riesgo, con plazo 2 de diciembre de 2027. Como pyme, puede aprovechar el sandbox nacional, la documentación simplificada (Artículo 11, apartado 3) si pasara a construir un sistema propio y el tope de multas del Artículo 99, apartado 6. Resultado: un inventario de tres sistemas, un único caso de alto riesgo que planificar con margen, dos deberes ya en vigor cubiertos — y cero pánico.
Cómo ayuda Confir a las startups
Para una startup, el riesgo no es el cumplimiento pesado — es clasificar mal por falta de claridad y, o bien tratar todo como alto riesgo (y frenar el producto), o bien pasar por alto el único sistema que sí lo es.
La lógica de clasificación determinista y basada en reglas de Confir recorre cada función de su producto y saca a la luz los hechos que importan: ¿el uso cae en el Anexo III?, ¿es usted proveedor o responsable del despliegue?, ¿cruza algo el Artículo 5?, ¿hay deberes de transparencia del Artículo 50? Produce una justificación de clasificación documentada — incluidas las exenciones del Artículo 6, apartado 3 — que un inversor, un cliente o una autoridad puede seguir e impugnar; las mismas entradas, el mismo resultado, sin inferencia ni alucinación. El Registro de Riesgos mantiene el inventario, el rol, el nivel y el plazo en un solo lugar, de modo que la gobernanza crece con el producto en vez de convertirse en un proyecto aparte. Sin consultores, sin implantación de varios meses.
Guías relacionadas
- Proveedor o responsable del despliegue
- La Ley de IA de la UE para startups SaaS
- Espacios controlados de pruebas (sandboxes)
- Prácticas prohibidas del Artículo 5
- Marco de gobernanza responsable de la IA
- Plazos y calendario de la Ley de IA de la UE
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →